新聞

開放原始碼IT系統監控與分析平臺業者Grafana Labs上週末透露，有網路犯罪集團未經授權存取GitHub儲存庫，下載程式碼庫的資料，然後向其勒索。事隔3天，該公司公布最新調查結果，指出他們是因為遭到TanStack供應鏈攻擊事故波及，因權杖（token）未及時輪換而釀禍。

5月19日Grafana Labs發布部落格文章，指出攻擊者入侵其GitHub環境的事故，源於TanStack供應鏈攻擊，當時他們在5月11日偵測到惡意活動，隨即啟動事件應變流程，迅速輪換大量與GitHub工作流程相關權杖，但仍有部分未被更換，使得攻擊者能夠存取他們的GitHub儲存庫。後續調查顯示，Grafana Labs原本認定未受影響的GitHub工作流程，實際上已遭到入侵。

Grafana Labs於5月16日收到勒索信，歹徒要求支付贖金換取遭竊內容不被公開，該公司表明不會支付贖金，因為支付贖金不僅無法保證資料安全，還會助長網路犯罪。該公司也在收到勒索信之後展開進一步的緩解措施，並稽核從5月11日之後所有的提交內容。

而對於這起事故的影響範圍，先前該公司的認定主要是原始碼的部分，不過他們現在發現，尚有其他資料遭竊，其中包含部分Grafana Labs人員協作與儲存的內部營運資訊、其他業務細節，以及工作業務聯絡人的姓名和電子郵件信箱。該公司強調，這起事故只影響其GitHub環境，未波及正式的生產系統或Grafana Cloud平臺。